Чтобы переводить контент на ваш предпочитаемый язык, Google использует технологии на основе искусственного интеллекта. Переводы от ИИ могут содержать ошибки.

Как настроить TLS для API управления

Edge for Private Cloud версии 4.17.09

По умолчанию TLS отключен для Management API, и вы получаете доступ к Management API Edge по протоколу HTTP, используя IP-адрес узла сервера управления и порт 8080. Пример:

http://ms_IP:8080

Вы также можете настроить доступ к Management API по протоколу TLS, чтобы обращаться к нему в следующем формате:

https://ms_IP:8443

В этом примере вы настраиваете доступ по TLS через порт 8443. Однако этот номер порта не является обязательным для Edge – вы можете настроить сервер управления на использование других значений портов. Единственное требование – брандмауэр должен разрешать трафик через указанный порт.

Чтобы обеспечить шифрование трафика, передаваемого в Management API и из него, задайте настройки в файле /opt/apigee/customer/application/management-server.properties.

Помимо конфигурации TLS, вы также можете управлять проверкой паролей (длиной и надежностью пароля), изменив файл management-server.properties.

Убедитесь, что порт TLS открыт

В этом разделе описано, как настроить TLS для использования порта 8443 на сервере управления. Независимо от того, какой порт вы используете, убедитесь, что он открыт на сервере управления. Например, вы можете использовать следующую команду:

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8443 -j ACCEPT --verbose

Примечание. В этом примере в качестве TLS-порта используется порт 8443, а не более распространенный порт 443. Это связано с тем, что порты с номерами ниже 1024 обычно защищены операционной системой и требуют, чтобы у процесса, который обращается к ним, был доступ с правами root. Сервер управления Edge работает от имени пользователя apigee и поэтому обычно не имеет доступа к портам с номерами меньше 1024.

В качестве альтернативы можно использовать балансировщик нагрузки с Edge API и завершать TLS на балансировщике нагрузки на порту 443. После этого вы сможете использовать HTTP или HTTPS между балансировщиком нагрузки и Edge API.

Другой вариант – использовать iptables для переадресации запросов с порта 443 на порт 8443. Пример:

iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 8443

Настройте TLS

Чтобы управлять использованием TLS для трафика, поступающего в Management API и исходящего из него, измените файл /opt/apigee/customer/application/management-server.properties. Если такого файла нет, создайте его.

Чтобы настроить доступ к Management API по протоколу TLS, выполните следующие действия:

Создайте файл хранилища ключей JKS, содержащий сертификат TLS и закрытый ключ. Подробнее о настройке TLS/SSL для локальной версии Edge…
Скопируйте файл JKS хранилища ключей в каталог на узле сервера управления, например /opt/apigee/customer/application.
Измените владельца файла JKS на apigee:
```
chown apigee:apigee keystore.jks
```
где keystore.jks – название файла хранилища ключей.
Измените /opt/apigee/customer/application/management-server.properties, чтобы задать следующие свойства. Если такого файла нет, создайте его:
```
conf_webserver_ssl.enabled=true
# Leave conf_webserver_http.turn.off set to false
# because many Edge internal calls use HTTP.
conf_webserver_http.turn.off=false
conf_webserver_ssl.port=8443
conf_webserver_keystore.path=/opt/apigee/customer/application/keystore.jks
# Enter the obfuscated keystore password below.
conf_webserver_keystore.password=OBF:obfuscatedPassword
conf_webserver_cert.alias=apigee-devtest
```
где keyStore.jks – файл хранилища ключей, а obfuscatedPassword – обфусцированный пароль хранилища ключей. Информацию о том, как создать обфусцированный пароль, можно найти в статье Настройка TLS/SSL для локальной версии Edge.
Перезапустите Edge Management Server с помощью следующей команды:
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart
```

Management API теперь поддерживает доступ по TLS.

Настройте Edge UI для использования TLS для доступа к Edge API

В описанной выше процедуре Apigee рекомендует оставить conf_webserver_http.turn.off=false, чтобы Edge UI мог продолжать вызовы Edge API по протоколу HTTP.

Чтобы настроить интерфейс Edge для выполнения этих вызовов только по протоколу HTTPS, выполните следующие действия:

Настройте доступ TLS к Management API, как описано выше.
Убедившись, что TLS работает для Management API, измените /opt/apigee/customer/application/management-server.properties, чтобы задать следующее свойство: conf_webserver_http.turn.off=true
Перезапустите Edge Management Server с помощью следующей команды:
```
/opt/apigee/apigee-service/bin/apigee-service edge-management-server restart 
```
Измените файл /opt/apigee/customer/application/ui.properties, чтобы задать следующее свойство для Edge UI. Если такого файла нет, создайте его: conf_apigee_apigee.mgmt.baseurl="https://FQDN:8443/v1" где FQDN – полное доменное имя, указанное в сертификате, адрес сервера управления, а номер порта – порт, указанный выше в параметре conf_webserver_ssl.port.
Только если вы использовали самозаверяющий сертификат (не рекомендуется в рабочей среде) при настройке доступа TLS к Management API, добавьте в ui.properties следующее свойство: conf/application.conf+play.ws.ssl.loose.acceptAnyCertificate=true В противном случае Edge UI отклонит самозаверяющий сертификат.
Перезапустите Edge UI с помощью команды:
```
/opt/apigee/apigee-service/bin/apigee-service edge-ui restart
```

Свойства TLS для сервера управления

В таблице ниже перечислены все свойства TLS/SSL, которые можно задать в management-server.properties.

Ресурсы	Описание
`conf_webserver_http.port=8080`	Значение по умолчанию – 8080.
`conf_webserver_ssl.enabled=false`	Включить или отключить TLS/SSL. Если TLS/SSL включен (true), необходимо также задать свойства ssl.port и keystore.path.
`conf_webserver_http.turn.off=true`	Чтобы включить или отключить HTTP вместе с HTTPS. Если вы хотите использовать только HTTPS, оставьте значение по умолчанию – `true`.
`conf_webserver_ssl.port=8443`	Порт TLS/SSL. Требуется, если включен протокол TLS/SSL (`conf_webserver_ssl.enabled=true`).
`conf_webserver_keystore.path=<path>`	Путь к файлу хранилища ключей. Требуется, если включен протокол TLS/SSL (`conf_webserver_ssl.enabled=true`).
`conf_webserver_keystore.password=`	Используйте обфусцированный пароль в следующем формате: OBF:xxxxxxxxxx
`conf_webserver_cert.alias=`	Необязательный псевдоним сертификата хранилища ключей
`conf_webserver_keymanager.password=`	Если у вашего менеджера ключей есть пароль, введите его обфусцированную версию в следующем формате: OBF:xxxxxxxxxx.
`conf_webserver_trust.all= <false \| true>` `conf_webserver_trust.store.path=<path>` `conf_webserver_trust.store.password=`	Задайте настройки для хранилища доверия. Укажите, хотите ли вы принимать все сертификаты TLS/SSL (например, чтобы принимать нестандартные типы). Значение по умолчанию – `false`. Укажите путь к хранилищу доверия и введите обфусцированный пароль к нему в следующем формате: OBF:xxxxxxxxxx.
`conf_webserver_exclude.cipher.suites=<CIPHER_SUITE_1 CIPHER_SUITE_2>` `conf_webserver_include.cipher.suites=`	Укажите наборы шифров, которые нужно включить или исключить. Например, если вы обнаружите уязвимость в шифре, вы можете исключить его здесь. Если шифров несколько, разделите их пробелами. Дополнительную информацию о наборах шифров и архитектуре криптографии можно найти в следующих статьях: http://docs.oracle.com/javase/8/docs/technotes/guides/security/SunProviders.html#SunJSSE
`conf_webserver_ssl.session.cache.size=` `conf_webserver_ssl.session.timeout=`	Целые числа, которые определяют: Размер кеша сеанса TLS/SSL (в байтах) для хранения информации о сеансах нескольких клиентов. Время в миллисекундах, по истечении которого сеансы TLS/SSL завершаются.